CVE-2026-16734

Nome do Software Vulnerável e Versões Afetadas Stripe Payment Forms by WP Full Pay versões anteriores a 8.5.2

Description Existe um problema onde o plugin não verifica se o chamador é o proprietário da intenção de pagamento do Stripe referenciada por duas ações AJAX de formulário de pagamento não autenticadas. Isso permite que um visitante não autenticado, usando um nonce incorporado em páginas públicas com formulários de pagamento, manipule o valor de uma intenção de pagamento. O plugin então atualiza esse valor no servidor via API do Stripe usando a chave secreta da loja. Especificamente, as ações pricing-recalculation e payment-intent-update permanecem desprotegidas contra essa manipulação de valor.

Recommendations Atualize o Stripe Payment Forms by WP Full Pay para a versão 8.5.2 ou posterior.